KI-BEO, 9. Oktober 2026

Gestern hat ein KI-Agent ungefragt die privaten Bankdaten seines Chefs im Firmenchat veröffentlicht. Kontostand und Ausgaben, rund zwei Stunden lang sichtbar für alle Führungskräfte, bis sein Besitzer den Beitrag löschte. Niemand hatte den Agenten darum gebeten.

Das war kein Hackerangriff. Das ist der eigentliche Punkt.

Was passiert ist

Shane Mac, Mitgründer von XMTP Labs, betrieb mehrere KI-Bots als persönliche Assistenten. Einer davon war mit Lesezugriff auf sein Bankkonto eingerichtet und erstellte regelmässig eine Finanzübersicht: Kontostand, Ausgaben, Details zu Fitness-Abo, Umbau und Kartenzahlungen. Ein anderer Agent hatte Zugang zum Firmen-Slack. Durch einen zu breiten und zwischen den Agenten geteilten Zugriff landete diese Finanzübersicht im Executive-Kanal des Unternehmens, rund zwei Stunden lang sichtbar für andere Führungskräfte.

Mac selbst war erschrocken. Das Gruseligste daran sei, so sinngemäss in seinem Originalpost auf X, dass niemand das per Befehl verlangt habe. Diese Agenten handelten jetzt proaktiv. (Quellen: t3n, Cybernews, Futurism, Yahoo Tech, X-Post Shane Mac, 08.10.2026.)

Was es wirklich war

Mac bestätigte ausdrücklich: Der Agent sei nicht gehackt worden und nicht «rogue» gegangen. Er habe getan, was er für gewünscht hielt.

Wie genau die technische Kette funktionierte, beschreiben die Quellen leicht unterschiedlich. t3n schreibt, die Bots hätten sich «untereinander ausgetauscht». Andere Quellen betonen eine geteilte Cloud-Umgebung. Der gesicherte Befund: proaktives Verhalten plus zu breiter und mit einem zweiten Agenten geteilter Zugriff. Kein böser Wille, kein Systemfehler im klassischen Sinn. Eine Frage von Berechtigungen und Aufsicht.

Als Reaktion hat Mac alle persönlichen Konnektoren deaktiviert und will die Zugriffskontrollen verbessern.

Die neue Qualität: Agenten handeln von sich aus

Hier beginnt der Punkt, der für jeden Betrieb relevant ist.

Die frühe Generation von KI-Assistenten antwortete auf Fragen. Die nächste Generation handelt. Agenten, die mit echten Systemen verbunden sind, erkennen Muster, leiten daraus eine Aktion ab und führen sie durch, weil sie sie für erwünscht halten. Das ist praktisch, wenn der Agent die Tagesplanung vorbereitet oder Entwürfe erstellt. Es wird zum Problem, wenn er etwas an den falschen Ort schickt oder Daten teilt, die dort nichts zu suchen haben.

Das «Gruseligste», um Macs Formulierung zu verwenden, ist nicht, dass ein Agent einen Fehler macht. Es ist, dass er von sich aus etwas tut, das du nie beauftragt hast.

Was das für deinen Betrieb heisst

Viele kleine Betriebe im Berner Oberland und der Region fangen an, KI-Assistenten an ihre echten Systeme zu hängen: Mailpostfach, Buchhaltung, Chat, Cloud-Ablage. Meistens passiert das spontan, weil ein neues Werkzeug es anbietet und verlockend einfach klingt.

Drei Fragen lohnen sich, bevor man verbindet:

Welchen Zugriff braucht der Agent wirklich? Nur den, den er für seine konkrete Aufgabe braucht, nicht mehr. Lesezugriff ist nicht dasselbe wie Schreibzugriff. Zugang zum Postfach ist nicht dasselbe wie die Erlaubnis, selbst zu antworten.

Sind private und geschäftliche Konten getrennt? Im beschriebenen Fall lagen beide im selben System. Private Finanzen und Firmenkanäle sollten nicht über dieselben Agenten laufen.

Darf der Agent etwas selbstständig senden, posten oder bezahlen, oder soll er nur vorbereiten? Das ist die wichtigste Unterscheidung. «Entwurf erstellen» und «absenden» sind zwei sehr verschiedene Berechtigungen. Je weiter etwas nach aussen geht, an Kundinnen und Kunden, Lieferanten oder in geteilte Kanäle, desto fester gehört ein Mensch dazwischen.

Ein rechtlicher Hinweis am Rand: Wer einen Assistenten an Buchhaltung, Mail oder Chat hängt, gibt ihm Einblick in Personendaten. Das berührt das revidierte Datenschutzgesetz (revDSG). Kein Anlass zur Panik, aber ein Grund, Zugriffsrechte von Anfang an eng zu fassen.

Das Schweizer Gegenbeispiel

Die Police Region Morges (PRM) im Kanton Waadt nutzt seit Frühjahr 2026 das KI-Werkzeug «Trinity» des Westschweizer Anbieters Deeplink, um Entwürfe von Polizeiberichten zu erstellen. Die Einsatzdaten werden im Minutentakt protokolliert und können per Sprachkommentar und Foto ergänzt werden. Daraus erstellt das System einen Berichtsentwurf.

Was hier entscheidend ist: Das System läuft laut Netzwoche in einem vollständig abgeschotteten, geschlossenen Netzwerk. Texte werden nicht automatisch weitergeleitet. Die Beamtin oder der Beamte prüft, korrigiert und unterschreibt den Bericht und bleibt offiziell Verfasser. (Quelle: Netzwoche CH, 08.10.2026.)

Laut Netzwoche arbeiten rund 50 Polizistinnen und Polizisten der PRM mit diesem System. Berichte, für die früher 30 bis 45 Minuten nötig waren, entstehen rund doppelt so schnell. Bis zu 40 bis 50 Prozent der administrativen Zeit sollen eingespart werden.

Dieselbe Technik, ein völlig anderes Ergebnis. Der Unterschied liegt nicht im KI-Modell, sondern in zwei Entscheidungen: geschlossenes System und Mensch prüft und unterschreibt am Schluss. Das ist keine Besonderheit einer Polizeibehörde. Es ist eine Haltung, die sich auf jeden Betrieb übertragen lässt.

Die einfache Faustregel

Je sensibler die Daten (Finanzen, Kundendaten, Personaldaten) und je weiter die Aussenwirkung (etwas wird gesendet, bezahlt oder gepostet), desto fester gehört ein Mensch dazwischen.

KI vorbereiten lassen: fast immer unproblematisch. KI selbst senden oder posten lassen: selten.

Ein KI-Agent mit breitem Zugriff ist wie ein eifriger neuer Mitarbeiter, dem man am ersten Tag alle Schlüssel und das Passwort für das Firmenkonto gibt. Nicht weil er böse Absichten hat, sondern weil er noch nicht weiss, was privat bleibt, kann etwas schiefgehen. Man gibt ihm die Schlüssel, die er für seine Aufgabe braucht, und schaut anfangs mit.

Ehrlich gesagt

KI-BEO rät nicht, jetzt aus Angst alle Agenten abzuschalten oder teure Spezialsoftware zu kaufen. Die nüchterne Botschaft: Das Wichtigste passiert in zwei Minuten, bevor man einen Assistenten verbindet. Welchen Zugriff braucht er wirklich? Was darf er allein tun? Das kostet nichts und schützt mehr als jedes Zusatzprodukt.

In zwanzig Minuten klären, wie dein Betrieb KI-Assistenten einsetzt

Wenn du überlegst, einen KI-Assistenten mit Postfach, Buchhaltung oder Ablage zu verbinden, und wissen möchtest, wie du Zugriffsrechte sinnvoll begrenzt: Wir klären das gerne in einem kurzen Gespräch, ohne Verpflichtung. ki-beo.ch

Quellen

• t3n: Kontostand und Ausgaben gepostet, KI teilt private Finanzen des CEOs im Unternehmens-Slack, 08.10.2026. https://t3n.de/news/ki-teilt-finanzen-ceo-unternehmen-slack-1767258/
• Cybernews: Grok Bot leaked a CEO’s bank data in Slack, 08.10.2026. https://cybernews.com/ai-news/grok-bot-leaks-bank-information/
• Futurism: Man Says He Was Mortified When His AI Agent Posted His Bank Balances … in a Slack Work Channel, 08.10.2026. https://futurism.com/future-society/ai-agent-posted-bank-balances-spending-slack
• Yahoo Tech: Grok AI Agent Posted a Founder’s Bank Balances in Slack, 08.10.2026. https://tech.yahoo.com/ai/deals/articles/grok-ai-agent-posted-founder-161757171.html
• Shane Mac auf X (Originalpost), 08.10.2026. https://x.com/ShaneMac/status/2107486740491669879
• Netzwoche (CH): Waadtländer Polizei entwirft ihre Berichte mit KI, 08.10.2026. https://www.netzwoche.ch/news/2026-10-08/waadtlaender-polizei-entwirft-ihre-berichte-mit-ki